なかのにっき

• ある特定の社内サブドメイン(あるいは特定ホスト)はパスワード認証なし
• それ以外の社内からのアクセスはパスワード認証あり
• それ以外の社外からはアクセス不可

• *.sub.example.com no-passwd
• *.*.example.com passwd認証
• これ以外 アクセス不可

foo/barにて件のアクセス制御を行うとして、
httpd.confで以下のようにします。

  RewriteEngine On
  RewriteCond %{REMOTE_ADDR} !^172\.16\.
  RewriteRule ^/foo/bar.* - [F]

  <Directory /path/to/foo/bar>
    Satisfy Any

    Order Allow,Deny
    Allow from 172.16.0.0/255.255.0.0
    Deny from 172.16.1.6

    AuthType Basic
    AuthName test
    AuthUserFile /path/to/passwd/file
    Require valid-user
  </Directory>

この場合、172.16.1.6からのアクセスについてはユーザ認証が求められ、
それ以外の172.16.0.0/16からは認証なしでアクセス可能です。
また172.16.0.0/16以外からはforbiddenになります。

キモはmod_rewriteのRewriteCond/RewriteRuleを
<Directory>や<Location>、.htaccessの*中に書かず*に
httpd.confの<VirtualHost>のすぐ内側か
あるいはすべてのブロックの外側に書くことです。

このキモをはずしますと、
172.16.0.0/16以外からのアクセスにおいて、
いったん認証させておいてから
forbiddenにするという動作になります。

>>>>>	Hajime BABA <baba@plain.isas.jaxa.jp> wrote:
> もしも可能なら、
>
>     Order Allow,Deny
>     Allow from 172.16.123.0/31
>
> という風に、認証不要にしたいホストだけを明示的に指定して、そうでな
> いところは deny されて、パスワード認証に移行するようになればさらに
> 理想的なのですが、そういう設定でも動作しましたでしょうか？

要するにチェックが行われる順序の問題ですので、
動作すると思います。

先の設定は例はmod_rewriteによる処理が
mod_accessやmod_authによる処理よりも
先に行われるということを利用したものです。

# この順序の違いを利用するためにmod_rewriteのためのディレクティブを
# .htaccess、<Location>、<Directory>の中に書けません。

つまり、
認証するまでもなく拒絶すべきリクエストをmod_rewriteによって除去し、
残ったリクエストについてはmod_accessとmod_authの
どちらかをパスしたものだけ通すという設定をすることで
目的を達成できると思います。

ここで「Satisfy Any」というのが
「どちらかをパスしたものだけ通す」という指定になります。
実際にはmod_accessの処理のほうが先に行われますから、
mod_accessのDeny条件によって拒絶されたリクエストについては
認証のチャンスが与えられるという感じになります。